En esta fase recogeremos toda la información necesaria para identificar las llamadas primitivas o conjunto de elementos relativos a la seguridad, las cuales nos permitirán analizar posteriormente  el riesgo. Mayoritariamente la recogida de información se efectuará mediante entrevistas personales, que nos permitirán recabar todos los datos necesarios. Las comprobaciones físicas y muestreos realizados sobre los Sistemas de Información completarán la recogida de información.

Esta tarea comprende las siguientes acciones encaminadas a preparar la recogida de la información:

- Recopilar los cuestionarios personalizados distribuidos en la etapa anterior.

- Ubicar y localizar a los entrevistados, para optimizar la realización de las entrevistas, tanto espacial como temporalmente.

- Confirmar cada entrevista, informando de los documentos que se van a requerir durante la entrevista, para facilitar su disponibilidad

- Recordar los objetivos de cada entrevista al entrevistado.

Realización de las entrevistas

Esta tarea profundiza con los entrevistados los siguientes aspectos:

- Definición de las funciones y objetivos del entrevistado.
- Descripción del modo de actuación.
- Identificación de los medios de que dispone para realizar las funciones y del personal a su cargo.
- Identificación de los procesos realizados y de la información manejada.
- Descripción del entorno.
- Identificación de posibles situaciones conflictivas (internas o externas, accidentales o provocadas).

Es posible que durante la entrevista sea necesario informar al entrevistado de los principales conceptos relacionados con la seguridad y la de los sistemas de información, en un grado que depende de su información y experiencia en la materia.

Con estos preparativos, la entrevista permite realizar una primera adquisición de conceptos y datos sobre elementos de la seguridad como los siguientes (estos elementos se verán desarrollados en puntos posteriores de la metodología):

- Delimitación de los activos.
- Importancia de los activos para el entrevistado.
- Vulnerabilidades
- Salvaguardas existentes.
- Amenazas potenciales.
- Incidentes, y en el caso de que hayan ocurrido, las consecuencias derivadas de éstos (pérdidas materiales, inmateriales, etc.).

Asimismo, la entrevista permite apreciar otros extremos:

- Umbral de riesgo y aspectos de la seguridad en los que será necesario concentrarse.
- Restricciones a tener en cuenta (económicas, temporales, etc.).
- Aspectos organizativos.
- Utilización de metodologías de desarrollo
- Especificación de normas y estándares.
- Procedimientos de calidad